Cómo configurar el tiempo de inicio de sesión para los usuarios en Active Directory
Por un motivo u otro, que podría ser para hacer cumplir la política de horario de trabajo de su empresa o para mejorar la seguridad, ya que los actores de amenazas no podrán iniciar sesión fuera del horario de oficina, los administradores pueden establecer o restringir los tiempos de inicio de sesión para los usuarios en Active Directory. para días u horas específicos. ¡En esta publicación, proporcionamos instrucciones paso a paso sobre cómo realizar esta tarea!
Cuando se ha configurado el tiempo de inicio de sesión para los usuarios, cuando un usuario intenta iniciar sesión en la máquina de Windows durante el tiempo de inicio de sesión denegado, el usuario recibirá la siguiente notificación en la pantalla de inicio de sesión como se muestra en la guía: en la imagen de arriba.
Su cuenta tiene restricciones de tiempo que le impiden iniciar sesión en este momento. Por favor, inténtelo de nuevo más tarde.
Cómo configurar el tiempo de inicio de sesión para los usuarios en Active Directory
Como administrador de TI en una organización, puede establecer o restringir el tiempo de inicio de sesión para los usuarios en Active Directory siempre que haya recibido una confirmación oficial de la administración e igualmente los usuarios hayan sido informados de antemano sobre el tiempo de inicio de sesión. restricción antes de habilitar la política.
Discutiremos este tema bajo los siguientes subtítulos:
Establecer hora de inicio de sesión para un solo usuario
Establecer tiempo de inicio de sesión para grupos de usuarios
Desconectar a los usuarios cuando expire su tiempo de inicio de sesión
Su cuenta tiene restricciones de tiempo que le impiden iniciar sesión en este momento
1. Establecer el tiempo de inicio de sesión para un solo usuario
La imagen muestra de domingo a sábado de 11:00 a. m. a 9:00 p. m. y de domingo a sábado de 12:00 a. m. a 9:00 a. m. como el período en el que un usuario no puede iniciar sesión y las horas de inicio de sesión permitidas, respectivamente, para el dominio de red.
Para configurar el tiempo de inicio de sesión para un solo usuario en Active Directory, siga estos pasos:
Abra Usuarios y equipos de Active Directory (ADUC).
En ADUC, haga clic con el botón derecho en la cuenta de usuario en la que desea configurar la restricción.
Seleccione Propiedades en el menú contextual.
-
A continuación, haga clic en la pestaña Cuenta en la página Propiedades.
Haz clic en el botón Horario de inicio de sesión .
Ahora aparecerá una pantalla que muestra las horas Permitidas o Denegadas. El color Permitido se muestra en Azul, mientras que el color Denegado se muestra en Blanco.
A continuación, haga clic en el botón de radio de la opción Inicio de sesión denegado.
Ahora, arrastre el cursor por los cuadros diminutos que muestran los días y las horas, o seleccione cada cuadro individualmente.
Haga clic en Inicio de sesión permitido cuando haya terminado.
A continuación, haga clic en el botón de radio de la opción Inicio de sesión permitido.
Ahora, arrastre el cursor al período en el que desea que se deniegue el inicio de sesión.
Haga clic en Inicio de sesión denegado cuando haya terminado.
2. Establecer el tiempo de inicio de sesión para grupos de usuarios
Para configurar el tiempo de inicio de sesión para grupos de usuarios en Active Directory, siga estos pasos:
-
Cree una unidad organizativa (OU) y asígnele un nombre descriptivo único.
A continuación, cree o mueva todos los usuarios a este contenedor de OU.
Ahora, presione CTRL + A para seleccionar todos los usuarios en la unidad organizativa.
Haga clic con el botón derecho en los usuarios resaltados y elija Propiedades.
A continuación, haga clic en la pestaña Cuenta.
Haz clic para marcar las opciones Horario de inicio de sesión .
Haz clic en el botón Horario de inicio de sesión .
Ahora, en la página Horario de inicio de sesión, puede restringir el horario de inicio de sesión para un grupo de usuarios según sus requisitos.
3. Desconectar a los usuarios cuando expire su tiempo de inicio de sesión
Yendo más allá, puede configurar una política de grupo para desconectar a un usuario que ya inició sesión cuando expire su tiempo de inicio de sesión siguiendo los pasos a continuación. El GPO debe asignarse a la unidad organizativa que contiene a los usuarios. Cuando la política está activa, se desconectará a un usuario cuando expiren las horas de inicio de sesión.
Abra la Consola de administración de directivas de grupo (gpmc.msc).
Haga clic con el botón derecho en Objetos de directiva de grupo y luego haga clic en Nuevo para crear un nuevo GPO.
Asigne al GPO un nombre descriptivo.
Haga clic con el botón derecho en el nuevo GPO y luego haga clic en Editar.
A continuación, navegue hasta la siguiente ruta:
Configuración del equipo > Políticas > Configuración de Windows > Configuración de seguridad > Políticas locales > Opciones de seguridad
En el panel de políticas, haga doble clic en la política Servidor de red de Microsoft: desconectar clientes cuando expiren las horas de inicio de sesión para editar sus propiedades.
Ahora, haga clic en Configuración de política de seguridad,
Haga clic para marcar la casilla de verificación Definir esta configuración de política.
Seleccione el botón de radio para Habilitado.
Haz clic en Aceptar.
¡Eso es todo!
¿Cómo hago un seguimiento de los tiempos de inicio y cierre de sesión de los usuarios del dominio?
Para realizar esta tarea, navegue a la siguiente ruta en GPMC:
Configuración del equipo > Políticas > Configuración de Windows > Configuración de seguridad > Configuración avanzada de políticas de auditoría > Políticas de auditoría > Inicio/Cierre de sesión.
En la ubicación, según sus requisitos, configure las políticas de auditoría relevantes para rastrear el inicio y cierre de sesión del usuario. Cuando las restricciones de horas de inicio de sesión se establecen mediante reglas flexibles basadas en expresiones, el acceso de los usuarios se restringe a los recursos publicados durante períodos de tiempo específicos.
¿Cómo obtener los tiempos de inicio de sesión de los usuarios en PowerShell?
Para obtener el último historial de inicio de sesión de un usuario con PowerShell, puede usar el cmdlet Get-Eventlog para obtener todos los eventos de los registros de eventos del controlador de dominio. Puede filtrar los eventos por el ID de evento que desee y mostrar información sobre la hora en que un usuario se autenticó en el dominio y una computadora que utilizó para iniciar sesión. Para averiguar la última marca de tiempo de inicio de sesión de una cuenta obsoleta, ejecute el siguiente comando en PowerShell:
Get-ADUser -Identity "UserName" -Properties "LastLogonDate"